Binance : 6,3 milliards de dollars volés dans ses portefeuilles chauds, un ordinateur DevOps en première piste, le FBI désigne la Corée du Nord

Binance confirme la compromission de ses portefeuilles chauds le 29 octobre, pour une perte d’environ 6,3 milliards de dollars. L’entreprise a d’abord mis en cause l’ordinateur portable d’un ingénieur DevOps, avant de découvrir d’autres points d’intrusion. Selon BleepingComputer, le FBI attribue le vol au groupe nord-coréen TraderTraitor.

Ce qui s’est passé

Binance indique que ses portefeuilles chauds ont été compromis vers 20 h 05 UTC le 29 octobre 2026, ce qui a permis des retraits non autorisés d’environ 6,3 milliards de dollars. TRM Labs, qui avance le chiffre de 6,36 milliards, précise que les fonds sont partis sur dix blockchains, en majorité en une vingtaine de minutes, et parle du plus gros vol de cryptoactifs jamais enregistré. Selon BleepingComputer, le FBI a publié le 31 octobre une alerte attribuant le vol à TraderTraitor, un groupe lié à l’État nord-coréen ; avec le Secret Service et l’IRS Criminal Investigation, il demande aux plateformes de bloquer 628 adresses liées au blanchiment.

Comment les attaquants sont entrés

Le premier communiqué de Binance évoquait l’ordinateur portable compromis d’un ingénieur DevOps, qui aurait servi à atteindre un conteneur de service puis à soumettre des transactions de retrait. Le suivant ajoute que l’enquête a mis au jour d’autres points d’intrusion. L’entreprise dit n’avoir aucune preuve d’une fuite des clés privées et promet un rapport détaillé. Selon BleepingComputer, l’un de ses codirigeants a affirmé que l’attaquant ne s’est pas contenté des droits d’un seul ingénieur et qu’aucune personne n’a été mise en cause. Pour TRM Labs, la prise de contrôle de l’infrastructure de signature des portefeuilles chauds reste l’hypothèse la plus probable ; Binance n’a pas publié de cause définitive.

Binance fait état d’environ 3 milliards de dollars gelés sur les blockchains et assure qu’elle absorbera la perte. Le 1er novembre, elle annonçait qu’environ 95 % du montant étaient couverts, que les dépôts n’étaient pas touchés et qu’une première phase de retraits était prévue le jour même de 6 h à 9 h UTC.

Que faire maintenant

1. Réservez des postes à l’administration : pas de messagerie ni de navigation courante sur une machine qui donne accès à la production.
2. Retirez les secrets durables des portables : contrôlez ~/.ssh, ~/.kube/config et les fichiers d’identifiants cloud, puis passez à des accès de courte durée via un SSO avec MFA par clé matérielle.
3. Mesurez ce qu’un portable peut faire : lancez kubectl auth can-i --list avec les identifiants d’un administrateur, retirez le superflu et bloquez l’accès direct aux conteneurs de production depuis les réseaux bureautiques.
4. Exigez une seconde validation pour les actions irréversibles : exports massifs, suppression de sauvegardes, paiements.
5. Posez des alertes de volume avec arrêt automatique : en vingt minutes, personne n’a le temps de décider.

Notre avis

Peu d’entreprises détiennent des milliards, mais presque toutes ont un portable d’administrateur capable d’atteindre la production. Quelles que soient les conclusions du rapport final, l’objectif reste le même : une seule machine compromise ne doit jamais suffire à déclencher une action irréversible. Et la révocation rapide des accès, cela se répète avant d’en avoir besoin.

Sources

• Binance — Security Incident Update
• Binance — Security Incident Update #2
• Binance — Security Incident: Recovery Update #4
• TRM Labs — North Korea steals USD 6.36 billion from Binance
• BleepingComputer — FBI links $6.3 billion Binance crypto heist to North Korean hackers
• BleepingComputer — Binance links $6.3 billion crypto theft to compromised DevOps laptop

Comment nous choisissons, vérifions et rédigeons nos analyses →